Анализ безопасности электронных платежных систем

Размещено на http://www.allbest.ru/

Федеральное агентство связи

Федеральное государственное бюджетное образовательное учреждение высшего образования "Поволжский государственный университет телекоммуникаций и информатики"

Факультет Телекоммуникаций и радиотехники

Направление (специальность) Информационная безопасность телекоммуникационных систем

Кафедра Мультисервисных сетей и информационной безопасности

Выпускная квалификационная работа (дипломная работа)

Анализ безопасности электронных платежных систем

Иванайский А.С.

Самара 2017

Реферат

Название	Анализ безопасности электронных платежных систем
Автор	Иванайский Андрей Сергеевич
Научный руководитель	Татаринов Юрий Владимирович
Ключевые слова	Платежная система, безопасность, электронные платежи, цифровая подпись
Дата публикации	2017
Библиографическое описание	Иванайский А.С. Анализ электронных платежных систем [Текст]: дипломная работа / А.С. Иванайский Поволжский государственный университет телекоммуникаций и информатики (ПГУТИ). Факультет телекоммуникаций и радиотехники (ФТР). Самара 2017. - 85 с.
Аннотация	В процессе выполнения данной дипломной работы был выявлен уровень безопасности электронной коммерции, на основе анализа, различных электронных платежных систем. В результате анализа распространенных электронных платежных систем были установлены их преимущества и недостатки.

Содержание

Введение

1. Основы безопасности электронных платежных систем

1.1 Электронная и традиционная коммерция

1.2 Защищенность платежей в Интернете

1.3 Защита платежных систем традиционной коммерции

1.4 Инфраструктура защищенности электронной коммерции

2. Безопасность электронных транзакций

2.1 Основные правила безопасности

2.2 Безопасность заочных карточных транзакций

2.3 Протокол защищенности электронных транзакций SSL

2.4 Протокол защищенности электронных транзакций SET

2.5 Протоколы защищенности заочных платежей стандарта SPA

2.6 Защищенность транзакций с использованием электронных денег

2.7 Защищенность платежных смарт-карт и электронных кошельков

3. Безопасность систем "Клиент-Банк"

3.1 Защищенность систем межбанковских расчетов

3.2 Российские платежные системы электронной коммерции и их защищенность

4. Результаты оценки уровня защиты платежных систем

Заключение

Список использованных источников

Введение

Операции с электронными платежами и переводом электронных денег совсем недавно никому небыли интересны и только последние 20 лет эта тема стала интересовать не только бизнесменов, но и простых граждан. Причиной происходящего кроется в повседневном использовании дистанционных выплат и электронных переводов.

Проведение электронных платежей стала необходимостью для тех, кто занимается бизнесом на просторах интернета, а значит и для многих пользователей совершающих постоянные покупки через всемирную сеть. Одной из важных проблем при использовании систем электронных платежей заключается в большом количестве используемых принципов работы и различных устройств, кажущихся внешне похожими в реализации, однако в них могут быть реализованы разные технологические и финансовые архитектуры взаимодействия.

Все более увеличивающаяся популярность всемирной паутины подталкивает к ускоренному развитию новейших приемов и интересных решений во всех областях всемирной экономики. Новым веяниям подверглись даже столетиями неизменные операции в банковской системе такие как платежи и взаиморасчеты. В связи с этим были разработаны совершенно новые платежные системы через электронную сеть, основным достоинством которой является отказ от дорогостоящих и неудобных в исполнении операций по физической транспортировке различной финансовой документации в строго определенное ограниченное время как в банковские учреждения, так и в другие государственные структуры.

Многочисленные банковские организации имеют еще больший интерес в использовании платежных систем, позволяющих сэкономить на проведении платежных операций и ускорить процесс обслуживания людей.

На ряду с вышеизложенным в процессе реализации электронных финансовых операций практически постоянно используется в большом количестве закрытой информации которая нуждается в защите от несанкционированного доступа и проведения хакерских атак с целью похищения как информации, так и денежных средств в электронном виде.

Проектирование и внедрение конкурентоспособных систем защиты во всемирной паутине зачастую бывает затруднительным делом, так как вся система интернет как раз позволяет организовывать доступ и сбор информации различного характера.

В настоящее время ведется постоянная работа по созданию новых и улучшению имеющихся систем и их различных комбинаций, позволяющих применять новые варианты системной защиты во время передачи информации по всемирной сети интернет

Все вышесказанное обуславливает актуальность выбранной темы дипломной работы - Анализ безопасности электронных платежных систем.

Целью дипломной работы является определение уровня безопасности при передаче коммерческих данных по электронной сети, на основе анализа, различных электронных платежных систем.

Для достижения поставленной цели необходимо решить следующие основные задачи: безопасность электронный сеть

- исследовать инфраструктуру безопасности электронной коммерции

- рассмотреть основы безопасности электронных платежных систем

- изучить протоколы безопасности заочных платежей стандарта SPA/USAF

- выявить достоинства и недостатки систем безналичных взаиморасчетов

- охарактеризовать уровень безопасности систем электронных платежей

Объектом исследования является уровень безопасности различных платежных систем.

Предметом исследования является способы защиты данных при использовании современных платежных систем.

Основными источниками информации для написания работы послужили официальные веб-сайты организаций, разрабатывающих методы информационной защиты компьютерных сетей, спецификация протокола SSL и информационно-справочные источники по безопасности и эффективности электронных платежных систем в сети Интернет. [2]

Цель и задачи написания работы определили ее структуру, которая состоит из введения, четырех глав, заключения, списка используемых источников и приложений.

Во введении обосновывается актуальность работы, цель, задачи, объект и предмет исследования.

Первая глава раскрывает разновидности коммерческой деятельности, в которой взаимодействие между ее участниками на всех или некоторых ее этапах осуществляется электронным способом.

Вторая глава показывает угрозы безопасности карточных транзакций и способы борьбы с ними с помощью применения различных протоколов безопасных электронных транзакций.

Третья глава описывает безопасность систем межбанковских расчетов, главный принцип осуществления платежей и проведение расчетных операций на основе корреспондентских отношений.

Четвертая глава посвящена выявлению преимуществ и недостатков различных электронных платежных систем, получивших наибольшее распространение в настоящее время.

В разделе Заключение сделаны основные выводы и представлены результаты проделанной работы.

1. Основы безопасности электронных платежных систем

1.1 Электронная и традиционная коммерция

В настоящее время отношение с общей информатизацией и компьютеризацией банковской деятельности значение информационной безопасности удаленных транзакций неоднократно возросло. Вследствие повсеместного распространения электронных платежей, пластиковых карточек, компьютерных сетей целью информационных нападений стали денежные средства, как банков, так и посетителей. Сделать попытку похищения может каждый - нужно только наличие компьютера, с сетью Интернет.

Удаленная банковская транзакция - это комплекс, который сопровождает удаленное взаимодействие покупателя с платежной системой. Например, оплату покупок через Интернет, использование банкомата, расчеты в точке продажи. Транзакция включает запрос, выполнение задачи и ответ. В банковских транзакциях эти три составляющие представляют собой денежные ресурсы, транспортируемые по линии связи. Поэтому защита удаленных банковских транзакций столь актуальна и имеется много средств их защиты. В данном направлении прилагаются значительные усилия, как в практическом, так и в теоретическом плане, применяются последние достижения науки, привлекаются передовые технологии.

Экономика состоит из процесса изготовления товаров и коммерческой деятельности, главной ее целью является получение прибыли по реализации произведенного товара. Коммерческая деятельность, или просто коммерция - это широкое понятие, которое не сводится лишь к продаже какого-либо продукта и получению оплаты за него.

Традиционная коммерция - это стандартный бизнес-процесс, который представляется в виде коммерческой транзакции, имеющий несколько этапов. Изначально компания изготавливает новую продукцию, потом выходит на рынок, распространяет и делает послепродажную поддержку. Покупатели ищут необходимость в какой-то продукции, знакомятся с материалом о ней, ищут места покупки, сравнивают варианты с различными ценами, качества обслуживания, рейтинга изготовителя и после этого что-либо приобретают. Коммерческая транзакция включает переговоры о цене, виде оплаты и сроках доставки покупки, заключение сделки, оплату и выполнение заказа, фиксацию в виде документа факта совершения сделки. Кроме покупателей и поставщиков участниками транзакции являются платежные системы, банки и другие финансовые учреждения, обеспечивающие перемещение денег, а также агенты доставки, выполняющие физическую доставку продукта покупателям.

В качестве покупателей и поставщиков являются:

- отдельные граждане (физические лица);

- организации и предприятия (юридические лица).

Уже после этапов рекламы и маркетинга поставщик предоставляет покупателю список товаров и услуг. Покупатель совершает заказ, в нем указывает наименование товара. На основании совершенного заказа поставщик направляет ему предложение заключить оферту (договор).

При согласии покупатель возвращает поставщику акцепт. Акцепт реализован в виде подписанного договора или каким-то иным способом. Оплата покупки, может осуществятся наличным или безналичным расчетом. Оплата товара взаимосвязана с физической поставкой товара потребителю. Коммерческая транзакция завершается этапом фиксации факта окончания сделки, в процессе этого этапа оформляются итоговые документы (счет-фактура, акт, накладные). Например, при розничной продаже товара относительно невысокой стоимости, оферта является счетом, который передается покупателям по почте, по факсу или при личной встрече. Акцепт в этом случае реализуется в виде оплаты выставленного счета. [1]

Электронная коммерция - это разновидность коммерческой деятельности, где взаимодействие участников на некоторых или всех ее этапах исполняется электронным способом. Электронная коммерция предполагает взаимодействие партнеров при помощи информационных технологий, что повышает эффективность, гибкость, масштабность бизнес-процессов. Электронная коммерция имеет не только операции, связанные с куплей-продажей услуг и товаров, но и на операции, направленные на извлечение прибыли, послепродажную поддержку покупателей, создание спроса на товары и услуги. Электронная коммерция, она же технология поддержания внешних бизнес -контактов - это одна из двух базовых составляющих электронного бизнеса. Вторая составляющая - это комплексная автоматизация внутренней деятельности компании.

Имеется несколько общепринятых категорий деления электронной коммерции. Такое размежевание проводится по целевой группе потребителей.

Рис. 1.1 - Модели электронной коммерции

К главным моделям электронной коммерции в сети относят:

(B2B) - фирма-фирма;

(B2C) - фирма-потребитель;

(C2B) - потребитель-фирма;

(P2P) - потребитель-потребитель;

(B2G) - фирма-государство;

(G2B) -государство-фирма;

(G2C) - государство-потребитель;

(C2G) - потребитель-государство;

(G2G) - государство-государство;

(E2E) - биржа-биржа;

- Internet банкинг;

- Internet трейдинг;

Internet - услуги: услуги технической ветви электронной коммерции: страхование через Internet; система электронных платежей; доставка товаров; консалтинговые услуги.

Схема B2B или бизнес-бизнес

Принцип подобного взаимодействия прост: компания ведет торговлю с другим предприятием. B2B - является одной из наиболее активно развивающихся направлений электронной коммерции на сегодняшний день. Интернет - платформы дают возможность для значительного упрощения проведения операций на всех этапах, сделать торговлю прозрачнее и оперативнее. В таких моментах заказчик имеет возможность интерактивного контроля процесса выполнения заказа путем работы с базами данных продавца. Пример сделки B2B - реализация шаблонов для сайтов компаниям для использования в качестве основы собственного веб - ресурса. Бесспорно, сюда относят взаимодействия, включающие в себя оптовые поставки товаров или подобное выполнение заказов.

Схема B2C или бизнес-потребитель

Фирма торгует с клиентом. Здесь речь идет о розничной реализации товара. Клиенту не придется идти в магазин, чтобы выбрать товар: достаточно просто просмотреть характеристику на сайте, выбрать нужные конфигурации и заказать продукт. Коммерсанту же способности Интернета позволят оперативнее отследить спрос. Примеры данного вида торговли - Интернет - магазины, направленные на целевую группу непосредственного потребителя товаров.

Схема С 2С или потребитель-потребитель

Этот способ электронной коммерции предполагает совершение сделки между двумя потребителями, когда ни один не является предпринимателем в юридическом смысле слова. Интернет - площадки для такой торговли что-то средние между рынком - толкучкой и колонкой объявлений. Коммерция как правило по схеме С 2С исполняется на сайтах Интернет - аукционов, которые все более популярны в наше время. Для покупателей в таких системах основное удобство заключается в более низкой цене, по сравнению со стоимостью в магазинах.

Иностранные стандарты электронной коммерции (IOTP, JEPI).

Торговый открытый протокол Интернет IOTP (Internet Open Trading Protocol) организовал базу коммерции через Интернет, не зависимый от платежной системы. IOTP анализирует ситуации, в которых магазин будет в роли клиента, обеспечивает оформление и отслеживание доставки и прохождения платежей.

Подобный протокол IOTP сопровождает:

- Вновь создаваемые виды продаж

- Совместное использование всемирной сети

Вышеозначенный протокол несет информацию о содержании в форме и периодичности сообщений, которые передают друг другу участники продаж на торговой площадке в электронном виде - продавцы, клиенты, финансовые структуры и банковские системы.

Протокол обеспечивает его применимость при любых схемах электронных платежей, потому что он реализует весь процесс продажи, где передача денег всего лишь один шаг из многих. Схемы платежей, которые поддерживает IOTP, включают MasterCard Credit, Visa Credit, Mondex Cash, Visa Cash, GeldKarte, eCash, CyberCoin, Millicent, Proton и т.д. Открытый протокол Интернет определяет некоторое число операций IOTP:

- Покупка. Осуществляет предложение, оплату и доставку.

- Возврат. Производит возврат платежа для покупки, выполненной ранее.

- Обмен ценностями. Имеет два платежа (в случае обмена валют).

- Аутентификация. Производит проверку для организации или частного лица - являются ли они тем, за кого себя выдают.

- Отзыв платежа. Ситуация при которой происходит изъятие электронного платежа из системы финансовой организации.

- Депозит. Реализует депозит средств в финансовом учреждении.

- Запрос. Осуществляет проверку выполнения операций IOTP которая выполняется или уже реализована.

- Пинг. Простой запрос одного приложения IOTP с целью проверки, функционирует ли другое приложение IOTP.

- JEPI, (JointElectronicPaymentInitiative) - это то, что стоит между покупками и платежами. [3]

1.2 Защищенность платежей в Интернете

Функционирование платежных систем в Интернете вероятно при выполнении условий безопасности. Понятие "безопасность информации" это состояние устойчивости информации к случайным или преднамеренным воздействиям, исключающее риски ее уничтожения, раскрытия и искажения, приводящие к материальному ущербу владельцев или пользователей информации. Решение проблем безопасности основывается на шифровальных или криптографических системах, которые обеспечивают:

целостность - информация обязана быть защищена от несанкционированных модификаций, при хранении, и при передаче. Обеспечивается цифровой электронной подписью.

аутентификацию - необходимо идентифицировать отправителей, при однозначной идентификации отправители не могут отказаться от послания. Обеспечивается цифровой электронной подписью и сертификатом;

конфиденциальность - информация обязана быть защищена от несанкционированного доступа, как при хранении, так и при передаче. Доступ к информации можно получить только тому, для кого она предназначена. Обеспечивается шифрованием;

Каждая система шифрования функционирует по собственной методологии, которая содержит один или несколько алгоритмов шифрования (формул), ключей, которые используются этими алгоритмами, а еще система управления ключами. Распространены алгоритмы, которые объединяют ключ с текстом. Главная проблема шифрования заключается в безопасной процедуре передаче ключей участникам взаимодействия и генерации.

Существуют два главных типа криптографических алгоритмов:

симметричные (классические) алгоритмы, основанные на использовании секретных, закрытых ключей, и шифрование, и дешифрирование выполняются с помощью одного и того же ключа;

ассиметричные - алгоритмы с открытым ключом, в которых применяется открытый и так же один закрытый ключ.

Алгоритмы симметричного шифрования применяют ключи не большой длины и быстро шифруют большие объемы данных. Порядок применения систем с симметричными ключами выглядит таким образом.

Безопасно формируется и сохраняется симметричный секретный ключ. Отправитель применяет симметричный алгоритм шифрования вместе с секретным симметричным ключом с целью получения зашифрованного текста. Отправитель передает зашифрованный текст. Симметричный секретный ключ никогда не передается по незащищенным каналам связи. С целью возобновления исходного текста адресат применяет к зашифрованному тексту тот самый симметричный алгоритм шифрования вместе с тем же симметричным ключом, который уже имеется у получателя.

Характеристики симметричных шифров регламентируются стандартами: ГОСТ № 28147-89 Российской Федерации, DES (Data Encryption Standard) Соединенных Штатов Америки и других.

Суть асимметричных криптосистем заключается в том, что каждым получателем генерируются два ключа, связанные между собой согласно конкретному правилу. Несмотря на то, что каждый из пары ключей подходит как с целью шифрования, так и с целью дешифрирования, данные, зашифрованные одним ключом, могут быть расшифрованы только иным ключом.

Криптографические системы с открытым ключом применяют необратимые, или односторонние, функции. Функция f(x) называется односторонней, в случае если для всех значений х из ее области определения можно вычислить значения у = fix), однако вычисление обратного значения практически не осуществимо. Известно несколько криптосистем с открытым ключом. Более разработана система RSA, предложили ее в 1978 г. Такой алгоритм стал всемирным стандартом де-факто для открытых систем и рекомендуется Международным консультативным комитетом по телефонии и телеграфии (МККТТ).

Шифрование данных, которые передаются через Интернет дает возможность защитить их от посторонних персон. Но для полнейшей безопасности необходимо быть уверенным, что второй участник транзакции лицо, за которое он себя выдает. В бизнесе более значимым идентификатором личности заказчика считается его подпись. В электронной коммерции используется эквивалент традиционной подписи - цифровая подпись (в России закон о цифровой подписи принят в январе 2003 г.). С ее помощью возможно доказать, что транзакция была инициирована определенным источником, и то, что информация не была испорчена во время передачи. Как в шифровании, технология электронной подписи использует или секретный ключ (в таком случае оба участника сделки применяют один и тот же ключ), или открытый ключ (в этом случае требуется пара ключей - открытый и личный). И в этом случае проще в использовании методы с открытым ключом (такие как RSA) на много популярнее.

Основная проблема криптографических систем - это распространение ключей. Асимметричные методы приспособлены для открытой архитектуры Интернета, но и здесь использование открытых ключей требует дополнительной защиты и идентификации для определения связи с секретным ключом. Без такой защиты злоумышленник может выдать себя за отправителя подписанных данных или за получателя зашифрованных данных, заменив значение открытого ключа или нарушив его идентификацию. В таком случае любой человек может выдать себя за иного. Это приводит к обязательной верификации открытого ключа. Для таких целей используются электронные сертификаты.

Электронный сертификат представляет собой цифровой документ, который совмещает открытый ключ с определенным пользователем или приложением. Для того чтобы заверить электронный сертификат используется электронная цифровая подпись Центра сертификации (ЦС). Исходя из функций, выполняемые ЦС, он является основной частью всей инфраструктуры открытых ключей (ИОК или PKI - Public Key Infrastructure). Используя открытый ключ ЦС, любой пользователь имеет возможность проверить достоверность электронного сертификата, выпущенного ЦС, и воспользоваться его содержимым. Для доверия сертификатам, независимая организация, выполняющая функции ЦС и являющаяся источником сертификатов, обязана быть довольно авторитетной. Сейчас более известный источник сертификатов - это компании Thawte и VeriSign, но существуют и другие системы сертификации, такие как World Registry (IBM), Cyber Trust (GTE) и Entrust (Nortel). В России дистрибьютором SSL - сертификатов компании Thawte сегодня является "РосБизнесКонсалтинг".

Технология цифровых сертификатов осуществляется следующим образом. Для того, чтобы использовать сертификат, клиент должен, получить его у надежного источника сертификатов. Клиенту необходимо доказать подлинность своей личности, например, приехать в организацию и предъявить соответствующие документы, а также передать источнику сертификатов копию открытого ключа. Далее он захочет купить что - либо через Интернет, ему достаточно будет добавить к заказу свою копию сертификата и электронную подпись. Далее отдел обслуживания покупателей, проверяет сертификат, чтобы убедиться, что к заказу приложен реальный открытый ключ и выясняет, актуален ли сертификат.

Стандарты безопасности являются гарантией безопасности платежных систем. Более распространенными стандартом безопасности виртуальных платежей является протокол SSL (Secure Socket Layer), который обеспечивает шифрование передаваемой через Интернет информации и стандарт SET (Secure Electronic Transactions), который разработали компании Visa и MasterCard. Он обеспечивает конфиденциальность и безопасность совершения сделок при помощи пластиковых карт. [3]

Уязвимость механизмов защиты

Основным недостатком механизма идентификации электронных платежных систем является предсказуемость формата идентификатора учетной записи (62% систем). Мошенник, знающий несколько существующих в системе идентификаторов, может легко вычислить механизм их формирования и подобрать требуемый.

Рис. 1.2 - Уязвимости механизмов защиты

34% систем раскрывают информацию о существующих учетных записях в системе, возвращая разнообразные ответы, которые зависят от существования введенного идентификатора; в 20% случаев электронные платежные системы содержат обе вышеперечисленные уязвимости.

Рис.1.3 - Недостатки механизмов авторизации (доля уязвимых систем)

При рассмотрении систем у 58% были недостатки реализации механизма аутентификации - слабая парольная политика, недостаточная защита от подбора учетных данных, варианты обхода механизмов CAPTCHA и отсутствие при входе в личный кабинет двухфакторной аутентификации.

Рис.1.4 Уязвимости мобильных клиентов

Уязвимость механизмов аутентификации 79% систем содержали недостатки защиты транзакций и авторизации. И в 42% случаев злоумышленник получал несанкционированный доступ к данным пользователя (информации о счетах, персональным данным, платежах и т. д.), в 13% систем злоумышленник мог осуществлять банковские операции напрямую со стороны другого пользователя.

Клиентское программное обеспеченье для операционной системы iOS менее уязвимо по сравнению с приложениями для Android. Критически опасные уязвимости содержатся в 50% приложений для iOS и в 70% приложений для Android. (Приложение B)

Каждое приложение на базе Android в среднем содержит 3,7 уязвимостей, а для iOS - приложения этот показатель равен 2,3.

1.3 Защита платежных систем традиционной коммерции

Электронная платёжная система - система расчётов между финансовыми организациями, бизнес - организациями и Интернет - пользователями при покупке - продаже товаров и за различные услуги через Интернет. Эти системы представляют собой электронные версии традиционных платёжных систем и по схеме оплаты. Платежные системы позволяют превратить электронные витрины в магазин со всеми стандартными атрибутами, где покупатель может осуществлять платежи, не отходя от компьютера.

Платежи в электронной коммерции совершаются, если соблюдать ряд условий:

Соблюдать конфиденциальность. При платежах через Интернет клиент желает, чтобы его данные (номер кредитной карты и т.д.) были доступны только организациям, которые имеют на это право.

Сохранять целостность информации. Информация о покупках не может изменятся никем.

Аутентифицировать. Продавцы и клиенты обязаны быть уверены, что все участники сделки, являются теми, за кого они выдают себя.

Иметь возможность оплаты доступными клиенту платежными средствами.

Проводить авторизацию. В ходе процесса требование на проведение транзакции одобряется или отклоняется платежной системой, для определения наличия средств у покупателя.

Минимизировать платы за транзакцию. Плата входит в стоимость заказов и оплаты, снижение стоимости транзакции в свою очередь увеличивает конкурентоспособность.

Все платежные системы разделяют на:

- дебетовые (работают с цифровой наличностью и электронными чеками);

- кредитные (работают с кредитными карточками).

Дебетовая система.

Рассмотрим дебетовую систему платежей на примере электронных чеков. Электронные чеки - это аналог бумажных чеков. Т.е. некоторый запрос о переводе денежных средств со счета плательщика на счет получателя. Электронные чеки, выдаются в электронном виде и подписываются электронной цифровой подписью

1) Выписка чека. Плательщик выписывает чек и подписывает его электронной цифровой подписью, после присылает его получателю. Чековый номер, для обеспечения дополнительной безопасности, может быть закодирован открытым ключом банка. 2) Предъявление к оплате. Получатель платежей предъявляет чеки платежной системе, которая в свою очередь проверяет электронную подпись чека. 3) Начисление денег. Если чек подленный, то происходит перевод денежных средств со счета покупателя на счет продавца, заказанный товар поставляется. Облегченная схема осуществления платежей, но имеет сложности ее внедрения в России. Тут чековые схемы пока не получили распространения и не имеется сертификационных центров. Для реализации электронной цифровой подписи используется схема с открытым ключом. При этом секретный ключ находится у пользователя, а открытый ключ, для проверки, доступен всем. Открытые ключи удобно хранить в виде сертификатов - открытый ключ и информация о владельце. Для хранения сертификатов используются сертификационные центры, с помощью которых происходит распространение сертификатов. Пример системы: eCheck. Эта система была разработана по аналогии с обычными бумажными чеками. eCheck составляется используя специальный язык FSML(Financial Services Markup Language), это язык использующий тэги, как HTML или XML. Тэги влючают в себя информацию о чеке(как обычный чек). FSML определяет блоки подписей, которые позволяют поддерживать добавление или удаление информации из чека, совместную подписку, прикрепление документов (в том числе и зашифрованных). Для того, чтобы прочерить кому принадлежит подпись используются x.509 сертификаты. Электронные чеки могут передаваться и по e-mail и по http (для совместимости с этими и другими протоколами передачи верхних уровней, в FSML используются только кодировка ASCII в комбинации с ограничением длины строк).

Рис.1.5 Схема проведения платежа.

Электронные деньги - это полная модель денег реальных. Эмитент делает их электронные копии, называемые в разных системах по-разному (например, купоны), которые покупают пользователи и оплачивают ими покупки, а затем продавец погашает их у эмитента. Физические деньги - анонимны, т. е. на них не указано, кто и когда ими пользовался. Некоторые системы аналогично, позволяют покупателю получать электронную наличность так, чтобы нельзя было установит связь между ним и деньгами. Отметим также, что использование электронных денег предполагает необходимую аутентификацию, потому что система основана на выпуске валют в обращение перед использованием.

Платеж с помощью цифровых денег может быть разбит на следующие этапы:

- покупатель заранее обменивает реальные деньги на электронные. Хранение наличности у клиента может осуществляться, в зависимости от используемой системы, двумя способами - на жестком диске компьютера и на смарт-картах.

- покупатель перечисляет на сервер продавца электронные деньги за покупку;

- деньги предъявляются эмитенту, который проверяет их подлинность.

После того как подлинность электронных купюр установлена, счет продавца увеличивается на сумму покупки, а покупателю отгружается товар или оказывается услуга.

Рис.1.6 Покупка в интернет магазине с помощью кредитных карт.

Кредитные системы

Интернет - кредитные системы являются аналогами обычных систем, работающих с кредитными картами. Только через Интернет, и нуждаются в необходимости средств безопасности и аутентификации.

В проведении платежей через Интернет с помощью кредитных карт участвуют:

1. Банки - эмитенты. В них находится расчетный счет покупателей. Банк-эмитент издает карточки и выполняет финансовые обязательства клиентов.

2. Покупатели. Клиенты, имеющий ПК с браузером и Интернетом.

3. Банки-эквайеры. Банки, обслуживающие продавцов. Как правило продавцы работают с одним банком и в нем же открывают как расчетный, так и корреспондентские счета.

4. Продавцы. Сервера Электронной Коммерции, на них ведутся каталоги товаров и услуг и принимаются заказы клиентов на покупку.

5. Платежная система Интернет. Это электронный объект, который связывает других участников.

6. Стандартная платежная система. Денежный комплекс для обслуживания карт. Платежные системы, - обеспечивают использования карт как средства платежа за товары и услуги, пользование банковскими услугами и проведение взаимозачетов.

7. Процессинговый орган системы платежей. Контора, которая обеспечивает технологическое взаимодействие участников платежной системы.

Кредитная организация (Банк), осуществляющая взаиморасчеты между участниками платежной системы по поручению процессингового центра.

Теперь вернемся к схеме платежей.

1. Клиент в интернет магазине наполняет корзину товаром и выбирает метод оплаты "кредитная карта".

2. Вводит параметр карты, в платежную систему для авторизации.

Операцию ввода можно выполнять с помощью двух действий:

- с помощью торговой точки, когда данные с пластиковой карты вносятся прямо на сайте продавца и затем они отправляются в платёжную систему интернета;

- через систему платежей с помощью сервера системы.

Явное преимущество на стороне сервера платежной системы. Сведения о картах нет в точках продаж, поэтому наблюдаем снижение риска получения третьими лицами. Для предотвращения возможности перехвата злоумышленниками при передаче реквизитов в сети, эти данные шифруются.

Шифрование, снижает шанс перехвата данных, поэтому все связи между покупателем, продавцом, платежной системой Интернет необходимо осуществлять с помощью защищенных протоколов. Основным из них является протокол SSL (Secure Sockets Layer). В основе у него имеется схема асимметричного шифрования и открытый ключ, еще в качестве схемы шифрования использован алгоритм RSA. Из-за технических и лицензионных отличительных черт данного алгоритма он считается малонадежным, и в настоящее время вводится стандарт безопасных электронных транзакций SET (Secure Electronic Transaction), который в планах заменит SSL во время обработки транзакций, во время расчетов за покупки по кредитной карте в Интернете. Бесспорным плюсом этого стандарта является усиленная безопасность с возможностью аутентификации всех сторон участвующих в проведении транзакций. [4]

Его минусами являются технологические сложности и высокая стоимость.

3. Система платежа с помощью интернета делает запрос на авторизацию.

4. Следующий пункт зависит от наличия онлайновой базы данных счетов. При наличии базы данных процессинговый центр передает банку-эмитенту запрос на авторизацию карты и потом, получает ее результат.

Случаи отсутствия подобной базы процессинговый центр самостоятельно собирает сведения о наличии средств на счетах владельцев платежных карт, стоп листы и выполняет действия, связанные с авторизацией.

Эти сведения регулярно обновляются банками-эмитентами.

- Данные об авторизации поступают в платежную систему интернета.

- Продавец получит результаты данной авторизации.

- Покупатель имеет возможность получить результат из магазина или от платежной системы.

После удачно проведенной регистрации

- товарная площадка пересылает оплаченную продукцию;

- процессинговый центр передает в расчетный банк сведения о совершенной транзакции. Деньги со счета покупателя в банке-эмитенте перечисляются через расчетный банк на счет магазина в банке - эквайере при помощи специального программного обеспечения.

Программное обеспечение при необходимости может быть поставлено покупателю (носит название электронный кошелек), торговой площадке и банку их обслуживания.

Защищенное использование платежных карт с нанесенной цифровой полосой.

При выполнении операций во всемирной сети и снятие денег с помощью контрафактных банкоматов осуществляется электронное воровство денежных средств со счетов клиентов.

В связи с этим необходимо проявлять осторожность. Для этого требуется не использовать сомнительные платёжные шлюзы, особенно на порнографических сайтах.

В определенных государствах есть контрафактные терминалы, позволяющие скачивать кодировку и конфиденциальную информацию о данных покупателя в результате чего денежные средства перемещаются к злоумышленнику.

Такие банкоматы могут даже выдать наличные.

В связи с этим в подобных государствах как правило используют терминалы как на территории банков, так и в больших площадках по продажам товаров.

Еще существует рекомендация не озвучивать нумерацию собственной карты и код CVV2/CVC2 на лицевой поверхности (так как подобных сведений о реквизитах как правило достаточно для выполнения переводов в интернете).

Замурованный в стену банкомат или банкомат, находящийся в здании банка - более надёжный способ снятия денег со счёта.

При получении денег через банкомат и многих терминалах требуется ввести PIN-код, обычно состоящий из четырёх цифр. Рекомендуется запомнить и ни в коем случае не хранить его вместе с картой. Обладатель чужой карты имеет менее 10000 вариантов, но после третьего неправильного ввода PIN-кода карточка блокируется на сутки, а некоторые банки-эмитенты дают банкомату команду на захват карты. В случае карты VISA её обычно пересылают в банк - эмитент, потому что банк-эквайер получит вознаграждение. А если эта карта MasterCard, то ее не пересылают, потому что вознаграждения не предусмотрены, и после, захваченные карты других банков уничтожаются, если информации из банка-эмитента не поступило. Если же хранить код вместе с картой, то злоумышленнику не составит никакого труда получить деньги в любом банкомате.

1.4 Инфраструктура защищенности электронной коммерции

CNP-транзакция (Cardholder Not Present) осуществление действий по покупке с помощью пластиковой карты, при этом держатель отсутствует в торговом зале и передает торговому представителю данные своей пластиковой карты (как правило серийный номер и срок действия пластиковой карты), данные которые используются при авторизации как правило заочно (электронным письмом, по сотовой связи, всемирной сети интернет и так далее)

Клиент с помощью ПК, подключенного к Интернету, выбирает интересующие его товары в виртуальной витрине товаров сайта торговой точки. Подтверждает свой выбор товара и сообщает магазину о готовности заплатить пластиковой картой. Затем осуществляется беседа между торговой точкой (продавцом) и владельцем карты, для того, чтобы получить реквизиты карты покупателя для их представления в сеть как стандартный авторизационный запрос. Во время этого диалога магазин и покупатель имеют возможность для обеспечения безопасности транзакции аутентифицировать друг друга.

Данные от клиентов о реквизитах карт магазин передает своему банку, который формирует и отправляет в сеть запрос. Начиная с этого момента, транзакция обрабатывается по тем же правилам, что и обычная операция покупке по пластиковой карте. Запрос обслуживающего банка для авторизации сообщением в форме, принятой в данной платежной системе, передастся банку-эмитенту клиента, авторизующего транзакцию и о её результате сообщает обслуживающему банку. Банк предоставляет торговой точке решение эмитента, и сообщает владельцу карты. В итоге клиент получит электронный чек с суммой покупки, названием и адресом магазина в интернете. (Приложение B)

Способы решения проблемы безопасности транзакций в электронной коммерции.

На заре использования коммерческих операций в электронном виде было ясно, что существующие способы определения держателя карты, которые обычно используются в транзакциях, имеют недостатки не позволяющие их применения для проведения платежей в электронном виде.

Когда покупают в реальном магазине продавец может рассмотреть предъявляемую пластиковую карту на ее соответствия требованиям платежным системам. Кроме этого, продавец должен проверить документ покупателя, удостоверяющий его личность. Из-за всего этого мошенникам придется нести большие затраты, при работе с ненастоящей картой.

При выполнении транзакции для совершения покупки в электронном виде мошеннику достаточно знать данные о реквизитах карточки.

Затраты, связанные с изготовлением поддельной физической карты, в этом случае не требуется.

В мире пластиковых карт с магнитной полосой самым надежным способом защиты транзакции от мошенничества является использование PIN-кода для идентификации владельца карты его банком-эмитентом. PIN-код находится у владельца карты и является конфиденциальной информацией.

Представляет собой число, от 4 до 12 цифр. Пин-код применяется всегда при проведении транзакции повышенного риска, например, при выдаче владельцу карты наличных в банкоматах. Выдача наличных в банкоматах происходит без присутствия представителя обслуживающего банка (ситуация похожа на транзакцию электронной коммерции). Поэтому используется секретная дополнительная информация - PIN-код.

Все больше проявляется массовая тенденция создания систем платежей с частым применением PIN-кода при выполнении операции "покупки" с использованием дебетовых карт.

Казалось бы, использование подобного идентификатора могло бы помочь решить проблему безопасности, однако это не так. В приложении к электронной коммерции такой метод нельзя применить.

Использование PIN-кода должно производиться таким образом, чтобы этот секретный параметр на всех этапах обработки транзакций оставался зашифрованным (он должен быть известен только владельцу карты и банку-эмитенту).

В реальной среде шифрование PIN-кода происходит в виде применения в оборудовании ввода транзакции особых механических устройств, которые носят названия PIN-PAD в них имеются Hardware Security Module - аппаратно-программные устройства безопасности, которые позволяют сохранять и изменять поступающие данные более надежный вид.

Эти устройства хранят созданный банком этой торговой точки специальным методом защищенный коммуникационный ключ. При вводе значения PIN-кода, оно быстро шифруется ключом и отправляется внутри запроса на хост обслуживающих банков. Далее закодированный код идентификации шифруется внутри Hardware Security Module (хост банка тоже имеет свой кодирующее устройство) в раздел, который уже зашифрован на коммуникационном ключе системы, и передает в интернет для доставки эмитенту. По дороге к эмитенту PIN-код будет преобразовываться еще несколько раз, но это не важно. Не менее важным фактором является возможность использовать классическую схему обработки PIN-кода, когда держатель пластиковой карты может хранить криптограммы коммуникационных ключей необходимых банковских систем, однако осуществить подобное физически не представляется возможным.

Известную ранее использованную схему возможно применять с использованием ассиметричных алгоритмов в зашифрованном виде и PIN-кодом держателя платежной карты с помощью открытого ключа продавца.

В то же время при предъявлении PIN-кода в сетевую систему платежей и его зашифровывают симметричным ключом, как это бывает в большинстве систем платежей.

Существует другое, неклассическое решение по использованию PIN-кода.

В качестве примера можно привести возможность на системном блоке обладателя карты зашифровывать PIN-код, а также отдельные периодически меняющиеся с каждой транзакцией ключевые данные известные и владельцу карты, и эмитенту.

Такой подход потребует решения задачи распределения секретных ключей. Решение подобной проблемы будет вызывать определенные трудности (это связанно с тем, что каждый держатель карты должен иметь собственный персональный ключ) и если уж тратить время и средства для решения этой проблемы, то результат необходимо использовать в более надежных в сравнении с проверкой PIN-кода способов авторизации держателей пластиковых карт.

В то же время идея проверки PIN-кода была реализована для повышения безопасности транзакций в электронной коммерции по картам, базы данных которых хранятся на хосте процессора STB CARD, он реализует следующую схему. Люди, имеющие карты, эмитенты которых содержат собственный массив данных на хосте STB CARD по заявлению могут оформить дополнительный, PIN-код, который носит название PIN-2.

Этот код представляет собой последовательность из 16 шестнадцатеричных цифр, которая распечатывается в PIN-конверте, передаваемом владельцу карты, и вычисляется эмитентом с помощью симметричного алгоритма шифрования, примененного к номеру карты и использующего секретный ключ, известный только эмитенту карты.

Затем при выполнении транзакции с одним из продавцов находящимся в обслуживании банком STB CARD, одновременно с этим у держателя карты при получении данных о покупателе собирается информация по PIN2.

В заполняемую форму клиент вносит значение и возвращает её магазину.

Владелец карты в действительности ведет диалог в защищенной SSL-сессии не с торговой точкой, а с виртуальным POS-сервером, через который работает торговая точка.

В имеющейся схеме STB CARD, согласно данным оставленным клиентом, где код PIN2 отсутствует, и на самом деле все происходит следующем образом: терминал продавца (вернее, сервер Assist), убедившись, что осуществляет операцию с пластиковой карточкой банка STB CARD, выполняет действие по передаче владельцу форму, в которой имеется подписанный java-апплет, выполняющий определенный симметричный алгоритм кодирования.

PIN2 секретный ключ алгоритма шифрования, а шифруемые данные будут в ходе применения хэш-функции к номеру пластиковой карты, сумме транзакции и случайному числу Nn, который генерируется торговой точкой. Далее торговая точка формирует авторизационное сообщение, передаваемое на хост обслуживающего банка, содержащее помимо "стандартных" данных транзакции еще результат шифрования и случайное число Nn.

После получения сообщение из магазина, по номеру карты вычисляется PIN2, далее по номеру карты, сумме и дате транзакции, а также по случайному числу Nn, вычисляет результат шифрования данных PIN2. Верификация Пин-кода выполнена успешно, в случае совпадения одинаковой величины сообщения, которая получена от магазина.

Из этого получаем технологию проверки PIN-кода, принятую в системе STB CARD, в действительности обеспечивающую не только динамическую аутентификацию клиента, но еще и гарантирующую целостность информации о транзакциях (сумма, номер карты и т.д.). Под целостностью здесь понимаем защищенность данных на протяжении передачи информации от клиента до банка-эмитента.

Отрицательные моменты такого выполнения операций заключаются в следующем:

- при выполнении определения подлинности пин-кода существует необходимость формирования на торговой площадке определенной формы с java-апплетом. Это мгновенно уменьшает объем применения схемы в незначительном количестве торговых мест;

- реализация большого (шестнадцать значений) большого ключа оказывается неприменимым, на практике, для держателя пластиковой карты;

- надежность защиты от подставки (в том случае если форма, требующая введения PIN2, осуществляется держателю пластиковой карты не торговой площадкой, а хакерами для того чтобы скачать PIN2) основывается на сложности определения покупателем сервера торговой площадки и одновременном подписании апплета зашифрованным ключом сервера продавца.

В связи с тем, что взлом имеющихся защит сопровождается появлением на мониторе держателя карты надписи определенного характера с вопросом можно выполнить начатую сессию или закрыть, подобные способы защиты не вызывают доверия;

В результате проведенного анализа платежные системы сформировали основные требования к схемам проведения транзакции в электронной коммерции, обеспечивающим необходимый уровень ее безопасности.

Данные обязательства состоят из следующих пунктов:

Аутентификация агентов торговой сделки (торговая площадка, покупатель и банк, в котором они обслуживаются).

Под аутентификацией покупателя (продавца) понимается процедура, доказывающая (на уровне надежности известных криптоалгоритмов) факт того, что данный владелец карты действительно является клиентом некоторого эмитента-участника (обслуживающего банка-участника) данной платежной системы. Идентификация банка обслуживания устанавливает факт принадлежности банка данной системы платежей.

Данные используемой карты платежа (нумерация, сроки давности CVC2/CVV2 и так далее) применяемые во время выполнения транзакции, всегда являются недоступными для продавца.

У каждой из сторон, участвующих в осуществлении сделки, должны иметься необходимые документы на ее выполнение (счет, счет фактура, накладная).

Протокол SSL обеспечивает конфиденциальность обмена данными между клиентом и сервером, использующими TCP/IP, причём для шифрования используется асимметричный алгоритм с открытым ключом. В случае шифрования не скрытым ключом применяются два ключа, один из которых будет использован для шифровки сообщения.

Если используется единственный ключ для шифрования, то для расшифровки необходим совершенно другой ключ. В этом случае есть возможность передавать защищенные сообщения с указанием открытого ключа и сохранением информации о секретном ключе. [5]

Протокол SSL включает в себя два подпротокола: протокола SSL записи и рукопожатия. SSL запись узнает форму, которая используется для передачи информации. SSL активирует рукопожатие при использовании протокола SSL записи для обмена сериями сообщений между сервером и клиентом во время установления первого соединения. Для работы SSL требуется, чтобы на сервере имелся SSL-сертификат, который предоставляет канал, имеющий 3 основных свойства:

- Аутентификация. Сервер всегда аутентифицируется, во время авторизации покупателя в зависимости от алгоритмов.

- Целостность. Это пересылка сообщений, включающая в себя проверку целостности.

- Частность канала. Зашифровывание данных осуществляется во время соединения и происходит в последующем во всех операциях.

Сертификат X.509 - стандарт, определяющий форматы данных и процедуры распределения открытых ключей с помощью сертификатов с цифровыми подписями, которые предоставляются сертификационными органами (СА).

Пользователь такого ключа должен знать, что он именно от удаленного субъекта, который будет использовать средства шифрования или цифровой подписи. Такую уверенность дают сертификаты открытых ключей, то есть структуры данных, которые связывают величины открытых ключей с субъектами. Эта связь достигается цифровой подписью доверенного CA под каждым сертификатом. У этого сертификата ограниченный срок действия, который указан у него в содержании. В связи с тем, что владелец сертификата имеет возможность самолично выполнять операции по проверке его подписи и сроков действия, вышеозначенные сведения позволяет передавать с помощью открытых линий связи и системы, находящиеся на серверах и при необходимости сохраняются в кэш памяти открытых систем пользования.

Его состав должен быть одинаковым в пределах PKI. В настоящее время в этой области предлагается общий стандарт для Интернета с использованием формата X.509 v3:

- Номер версии

- Серийный номер

- Эмитент

- Субъект

- Открытый ключ субъекта (алгоритм, ключ)

- Дополнительные (необязательные) значения

- Алгоритм подписи сертификата

- Значение подписи сертификата - сертификаты хранятся, как правило, в виде DER (стандартное расширение.cer) или PEM -файлов.

Cписок отзыва сертификатов (CRL). CRL - это список отозванных сертификатов с указанием времени. Он подписывается CA и свободно распространяется через общедоступный репозиторий. В списке CRL каждый отозванный сертификат опознается по своему серийному номеру. При использовании сертификата, система проверяет подписи сертификатов и срок их действия, плюс просматривает доступные списки CRL, чтобы проверить, не отозван ли сертификат.

2. Безопасность электронных транзакций

2.1 Основные правила безопасности

Обезопасить себя полностью невозможно. Но соблюдать элементарные правила при использовании банковской карты в интернете необходимо.

1) Никогда и никому не сообщайте платежные реквизиты своей банковской карты, особенно если мошенники звонят вам по телефону и, представившись сотрудником банка, просят назвать пин-код или код CVV2/CVC2. Банк может спросить последние 4 цифры или весь номер карты, но он не имеет права и не должен запрашивать код CVV2/CVC2 или пин-код. Кроме того, реквизиты не стоит пересылать электронной почтой. Помните и о том, что при оформлении интернет-платежа у вас не должны запрашивать пин-код.

...